Czy Safha jest bezpieczny? Twoje pliki i ochrona

Nie sprzedajemy twoich danych osobowych, nie wyświetlamy reklam dopasowanych do ciebie i nie używamy reklamowych plików cookie ani śledzących plików cookie podmiotów trzecich. Polityka bezpieczeństwa treści (Content Security Policy) strony pozwala naszym stronom łączyć się tylko z naszą domeną (connect-src 'self').

Do korzystania z narzędzi nie potrzebujesz konta. Nasze statystyki są własne: nigdy nie przechowujemy pełnego adresu IP – zamieniamy go na zahaszowany token za pomocą sekretu zmienianego codziennie. Logi narzędzi nigdy nie zawierają nazw ani zawartości twoich plików, tylko narzędzie, miejsce działania, informację, czy zadziałało, czas trwania i przybliżony przedział rozmiaru.

Plik jest odczytywany i przetwarzany w przeglądarce, a wynik pobierasz z samej przeglądarki. Plik nie jest wysyłany na żaden serwer. Dotyczy to większości narzędzi PDF i do zdjęć, takich jak łączenie, dzielenie, obracanie, podpisywanie własnego pliku i kompresja zdjęć.

Niektóre narzędzia wymagają oprogramowania, które nie działa dobrze w przeglądarce, np. konwersje biurowe i OCR. W ich przypadku plik jest wysyłany szyfrowanym połączeniem do naszej usługi konwersji, która go przetwarza i usuwa, gdy tylko wynik zostanie wysłany.

Streść PDF, Przetłumacz PDF i Zapytaj PDF wyodrębniają tekst z pliku i wysyłają ten tekst – nie plik – do Anthropic szyfrowanym połączeniem. Szczegóły są w sekcji AI. Odradzamy używanie tych narzędzi do bardzo poufnych dokumentów.

Gdy prosisz inne osoby o podpisanie dokumentu, przechowujemy go, dopóki wszyscy nie podpiszą: dokument, imiona i adresy e-mail osób podpisujących oraz ścieżkę audytu każdego kroku. Ta funkcja jest dostępna tylko dla posiadaczy konta. Okres przechowywania opisuje sekcja Przechowywanie i usuwanie.

Nie istnieje oficjalny „certyfikat RODO” i nie twierdzimy, że go mamy. Stosujemy natomiast jego zasady: zbieramy jak najmniej danych, ustalamy limit czasu dla wszystkiego, co przechowujemy, i wyjaśniamy, gdzie przetwarzany jest każdy plik. Twoje prawa obejmują:

• Usunięcie: usuń konto samodzielnie na stronie „Moje konto”.
• Sprostowanie: zmień imię i język na stronie „Moje konto”; w innych sprawach napisz do nas.
• Dostęp i przenoszenie: poproś o kopię danych konta na [email protected].

Stosujemy praktyki z wytycznych OWASP dotyczących bezpieczeństwa aplikacji internetowych, w tym:

• Content Security Policy (CSP): skrypty i połączenia są ograniczone do naszej domeny, a strony nie da się osadzić w innych witrynach.
• Ochrona przed SSRF: HTML na PDF i HTML na obraz przyjmują tylko publiczne linki http i https, a adres IP sprawdzamy przy każdym połączeniu i każdym przekierowaniu, więc żadne żądanie nie dotrze do naszej sieci wewnętrznej.
• Izolowane renderowanie: przeglądarka renderująca strony internetowe nie ma bezpośredniego dostępu do internetu; każde jej żądanie przechodzi tę samą kontrolę, a w przesłanych plikach HTML skrypty są domyślnie wyłączone. Makra w plikach Office nigdy się nie uruchamiają, a każda konwersja działa we własnym procesie z limitem czasu i limitem tego, co może zapisać.

W Iraku obowiązuje ustawa nr 78 z 2012 r. o podpisie elektronicznym i transakcjach elektronicznych. Podpisy w Safha to zwykłe podpisy elektroniczne: przechowujemy ścieżkę audytu z czasem każdego kroku oraz odcisk SHA-256 oryginalnego i końcowego dokumentu. Nie są to podpisy poświadczone przez urząd certyfikacji i nie udzielamy porad prawnych co do ich ważności. Jeśli dokument wymaga podpisu o określonej mocy prawnej, skonsultuj się z prawnikiem.

• ISO/IEC 27001: budowa systemu zarządzania bezpieczeństwem informacji zgodnego z tym standardem przed niezależną oceną.
• Niezależny test penetracyjny przeprowadzony przez zewnętrzną firmę.
• Uwierzytelnianie dwuskładnikowe dla kont administratorów.
• Szyfrowanie w spoczynku plików z próśb o podpis.

Safha działa na serwerze wynajmowanym od Contabo GmbH, którego pula adresów jest zarejestrowana w Niemczech według rejestru RIPE NCC. Każda usługa działa we własnym kontenerze Docker zarządzanym przez Coolify: aplikacja strony, usługa konwersji i baza danych PostgreSQL.

Ruch strony przechodzi przez sieć Cloudflare, której usługa obejmuje automatyczną ochronę przed rozproszonymi atakami odmowy usługi (DDoS). Wewnątrz serwera baza danych znajduje się w sieci wewnętrznej odciętej od internetu, a usługa konwersji nie przyjmuje połączeń z zewnątrz: może się z nią łączyć tylko aplikacja strony, za pomocą wspólnego tajnego tokenu.

• Cała strona działa przez HTTPS, a żądania HTTP są przekierowywane na HTTPS.
• Połączenia obsługują TLS 1.3.
• Wysyłamy nagłówek HSTS na dwa lata (max-age=63072000; includeSubDomains), więc przeglądarka otwiera stronę tylko przez szyfrowane połączenie.
• Połączenie między Cloudflare a naszym serwerem również jest szyfrowane, z ważnym certyfikatem TLS.

Na serwerze przechowujemy niewiele: konta, przepływy pracy, zapisane CV i statystyki w bazie danych oraz pliki z próśb o podpis na dysku serwera. Hasła i tokeny linków do podpisu są przechowywane wyłącznie jako skróty (bcrypt i SHA-256). Dla jasności: obecnie nie szyfrujemy bazy danych ani plików z próśb o podpis w spoczynku własnym kluczem; chroni je izolacja sieciowa i uprawnienia serwera.

Safha ma tylko dwie role: użytkownik i administrator. Panel administracyjny otwiera się tylko dla konta z rolą administratora, a rolę tę sprawdzamy na serwerze dwukrotnie: przy wejściu do panelu, a potem na każdej stronie i przy każdym działaniu w nim. Zmiana roli konta lub jego zawieszenie natychmiast kończy jego sesje.

• Usługa konwersji działa jako użytkownik inny niż root na systemie plików tylko do odczytu i zapisuje wyłącznie do tymczasowego folderu w pamięci.
• Odczytuje swoje sekrety raz przy starcie, a potem rezygnuje z uprawnień roota; sekrety te nigdy nie trafiają do procesów konwersji.
• Klucz Anthropic znajduje się tylko w usłudze konwersji; nigdy nie trafia do aplikacji strony ani do przeglądarki.
• Hasło do bazy danych i klucz do podpisywania sesji generuje platforma wdrożeniowa; nikt nie wpisuje ich ręcznie.

Obecnie nie oferujemy uwierzytelniania dwuskładnikowego dla kont administratorów i nie będziemy twierdzić inaczej. Dopóki go nie dodamy, pierwsze hasło administratora jest generowane losowo przez platformę wdrożeniową, a próby logowania są ograniczone tak jak dla każdego konta.

Działania docierające do urządzeń użytkowników, takie jak wysyłanie powiadomień i publikowanie wersji aplikacji, są zapisywane wraz z tożsamością administratora i czasem.